Kişisel veri kavramını hayatımızın tam ortasına yerleştiren 6698 sayılı Kişisel Verilerin Korunması Kanunu ile ilgili bugüne kadar onlarca makale yazsam da özel olarak “Kişisel veri nedir?” sorusunun cevabını yazmadığımı fark ettim. Bu yazıda detaylarıyla kişisel veri kavramını açıklığa kavuşturmaya çalışacağım.
Kişisel veri kavramı
Kişisel veri dendiğinde eminim, herkesin aklına birtakım kavramlar geliyordur. Bunlarında başında da adımız, T.C kimlik numaramız, telefon numaramız ve adresimiz gibi en çok paylaştığımız verilerin gelmesi normaldir.
Ancak kişisel veri kavramı kapsam itibariyle o kadar geniştir ki; hangi verilerin kişisel veri olduğunu tek tek yazmaya çalışmak teknik olarak mümkün olmayacaktır.
Çünkü kişisel veri kavramı dinamik bir yapıya sahiptir ve teknolojinin bu kadar hızlı geliştiği bir asırda, hayatımıza yeni kişisel verilerin girmesi her an için muhtemeldir.
Kişisel veri nedir?
Kişisel verinin tanımını önce genel anlamda yapalım. Buna göre kişisel veri; kişinin sahip olduğu tüm veriler olarak tanımlanabilir.
Görüldüğü üzere bu kavram oldukça belirsiz ve ucu açıktır. O halde; yazının konusu olan kişisel verinin tanımını almak için en doğru yer 6698 sayılı Kanun’un kendisi olacaktır.
6698’e göre kişisel veri nedir?
6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 3’üncü maddesine göre kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir.
Aynı maddenin gerekçesinde ise çok daha detaylı bir kişisel veri tanımlamasıyla karşılaşıyoruz:
“Kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi ifade etmektedir. Bu bağlamda sadece bireyin adı, soyadı, doğum tarihi ve doğum yeri gibi onun kesin teşhisini sağlayan bilgiler değil, aynı zamanda kişinin fiziki, ailevi, ekonomik, sosyal ve sair özelliklerine ilişkin bilgiler de kişisel veridir. Bir kişinin belirli veya belirlenebilir olması, mevcut verilerin herhangi bir şekilde bir gerçek kişiyle ilişkilendirilmesi suretiyle, o kişinin tanımlanabilir hale getirilmesini ifade eder. Yani verilerin; kişinin fiziksel, ekonomik, kültürel, sosyal veya psikolojik kimliğini ifade eden somut bir içerik taşıması veya kimlik, vergi, sigorta numarası gibi herhangi bir kayıtla ilişkilendirilmesi sonucunda kişinin belirlenmesini sağlayan tüm halleri kapsar. İsim, telefon numarası, motorlu taşıt plakası, sosyal güvenlik numarası, pasaport numarası, özgeçmiş, resim, görüntü ve ses kayıtları, parmak izleri, genetik bilgiler gibi veriler dolaylı da olsa kişiyi belirlenebilir kılabilme özellikleri nedeniyle kişisel verilerdir”.
Kişisel Verileri Koruma Kurumu’na göre kişisel veri
Kanun’a ve Kanun’un gerekçesine göre kişisel veriyi yukarıda tanımladık. Kanun kapsamında ihdas edilen Kişisel Verileri Koruma Kurumu da kişisel veriyi tanımlamıştır (https://www.kvkk.gov.tr/SharedFolderServer/CMSFiles/45af208d-3718-49ed-b51a-9be9edde6ff2.pdf)
“Kişisel veri, belirli ya da belirlenebilir nitelikteki bir kişiye ilişkin her türlü bilgidir. Bu durumda kişisel veriyi, kişisel olmayan verilerden ayırabilmek için temelde iki ölçütten yararlanıldığı söylenebilir. Buna göre, kişisel veriden söz edebilmek için, verinin bir kişiye ilişkin olması ve bu kişinin de belirli ya da belirlenebilir nitelikte olması gerekmektedir”.
Kişisel Verileri Korumu Kurumu
Kişisel verinin özellikleri neler?
Hemen yukarıdaki Kurum tanımlaması da göz önüne alındığında, Kanun kapsamındaki kişisel verinin 3 temel özelliği olduğunu söyleyebiliriz:
- Gerçek kişiye ait olma
- Kişiyi belirlemesi ya da belirlenebilir kılması
- Her türden bilgiyi içerebilmesi
Kişisel verinin gerçek kişiye ait olması
Kişisel verinin belki de en önemli özelliği budur ki; kişisel veriyi Kanun bakımından asıl ayırt eden husus gerçek kişiye ait olmasıdır.
Bir başka deyişle, tüzel kişilerin bilgileri Kanun kapsamında değildir. Bir şirketin telefon numarası ya da adres bilgisi o şirketin kişisel bilgisi olsa da Kanun bakımından kişisel veri kabul edilmez.
Ancak tüzel kişiye ait olmakla beraber; gerçek kişiyi belirleyen ya da belirlenebilir kılan her türlü bilgi Kanun kapsamındadır.
Örneğin bir şirketin çalışanlarına ait toplu maaş bordrosu; ilk bakışta tüzel kişiliğe ait olduğu için Kanun kapsamında zannedilmese bile, içinde yer alan ve çalışanların kimlik ve finans bilgilerini içeren veriler nedeniyle, Kanun kapsamında değerlendirilecektir.
mustafabaysal.com
Kişisel verinin kişiyi belirlemesi veya kişiyi belirleyebilir olması
Karışık gibi görünen bu kavram aslında çok basittir: İlk bakışta belirli bir kişiye ait olduğu anlaşılan veriler, belirli kişiye ait olan veriler iken; ilk bakışta belirli kişiye ait görünmemekle birlikte, başkaca bilgilerle beraber değerlendirildiğinde o kişiyi belirlenebilir kılan veriler de kişisel verilerdir.
Bu durum yine Kurum tarafından şöyle izah edilmiştir:
“Kişisel veriler, kişinin fiziksel, ekonomik, kültürel, sosyal veya psikolojik kimliğini ifade eden somut bir içerik taşıyabileceği gibi, kimlik, vergi, sigorta numarası gibi herhangi bir kayıtla ilişkilendirilmesi sonucunda kişinin belirlenmesini sağlayan tüm verileri kapsamaktadır. Nitekim, Kanunun gerekçesinde de telefon numarası, motorlu taşıt plakası, sosyal güvenlik numarası, pasaport numarası, özgeçmiş, resim, görüntü ve ses kayıtları, parmak izleri, genetik bilgiler gibi verilerin dolaylı da olsa kişiyi belirlenebilir kılabilme özellikleri nedeniyle kişisel veri olarak kabul edilmesi gerektiğine işaret edilmiştir”.
Kişisel verinin her türlü bilgiyi içerebilmesi
Kanun’da hangi bilgilerin kişisel veri olduğu tahdiden sayılmamıştır. Bunun anlamı; hemen yukarıda sayılan iki özelliği taşıdığı müddetçe her türlü bilginin kişisel veri olarak kabul edilmesi gerektiğidir.
Kişisel Verileri Koruma Kurumu, bu hususu şöyle değerlendirmektedir https://www.kvkk.gov.tr/SharedFolderServer/CMSFiles/7d5b0a2f-e0ea-41e0-bf0b-bc9e43dfb57a.pdf):
“Örneğin, takma isimler tek başına veya başka kaynaklarla birleştirildiğinde kişiyi tanımlamayı sağlayabilecek nitelikte ise bu tarz veriler de kişisel veri olarak kabul edilir. Ayrıca, sıkça kullanılan kimliği belirli veya belirlenebilir gerçek kişiyle ilişkili müşteri şikayet raporları, çalışan performans değerlendirme raporları, mülakat değerlendirme raporları gibi raporlar, ses veya görüntü kayıtları, resimler, kullanıcı işlem kayıtları gibi kayıtlar, özgeçmiş, bordro, fatura, banka dekontları, kredi kartı ekstreleri, nüfus cüzdanı fotokopileri gibi belgeler ve mektup, davet yazıları gibi yazılar/kayıtlar içinde yer alan veriler de kişisel veri olarak addedilebilir. Ancak yine de bunların kişisel veri olup olmadığı her somut olayın özelliğine göre “kişiyi tanımlayabilme” kabiliyeti dikkate alınarak değerlendirilmelidir”.
Kişisel veriler neler?
Bu sorunun cevabını arıyorsanız, TAM olarak bulmanızın mümkün olmadığını söylemeliyim. Yazının hemen başında da açıkladığım üzere, sınırlandırılarak sayılması mümkün olmayan kişisel verilere zamanla yenileri de eklenmektedir.
Ancak fikir vermesi bakımından, ilgili kişiye ait olan ve bir bakışta akla gelen kişisel veriler olarak şunlar sayılabilir:
- Adı soyadı
- T.C kimlik numarası
- E-posta adresi
- Ev adresi
- Maaş bilgisi
- Telefon numarası
- Fotoğrafı
- Kredi kartı bilgileri
- Ayakkabı numarası
- Boyu, kilosu
- Tuttuğu takım
- Alışveriş alışkanlığı
- Okuduğu kitaplar
- Bilgisayar IP’si
- Görüntüsü
- Video kaydı
- Ses kaydı
- Diploma bilgileri
- Mesleki deneyimi
- Kıyafet tercihleri
- Dini inancı
- Ceza mahkumiyetleri
- Irkı
- Sağlık bilgisi
- Cinsel hayatı
- Parmak izi
- Yüz tarama izi
- Siyasi düşüncesi
Yukarıdaki örnekler temel düzeyde kişisel verinin ne olduğunun anlaşılması için yeterlidir. Kişisel veri ile ilgili bir kavram da kişisel veri kategorisidir.
Kişisel veri kategorileri neler?
Kişisel veri kategorisi, kişisel verilerin bir üst kümesi gibi düşünülebilir. Kişisel verileri kategorize etmekteki amaç hem bunların takibini toplu olarak yapabilmek hem ilgili kişiye sunulacak metinleri daha öz ve anlaşılır kılmak ve hem de bu kategorileri VERBİS kaydı yaparken kullanmaktır.
Kişisel Verileri Koruma Kurumu tarafından belirlenen ve VERBİS kaydında da ayniyle kullanılabilen kişisel veri kategorileri şunlardır:
- Kimlik (Ad soyad, Anne-baba adı, Anne kızlık soyadı, Doğum tarihi, Doğum yeri, Medeni hali, Nüfus cüzdanı seri sıra no, T.C. kimlik no v.b.)
- İletişim (Adres no, E-posta adresi, İletişim adresi, Kayıtlı elektronik posta adresi (KEP), Telefon no v.b.)
- Lokasyon (Bulunduğu yerin konum bilgileri v.b.)
- Özlük (Bordro bilgileri, Disiplin soruşturması, İşe giriş belgesi kayıtları, Mal bildirimi bilgileri, Özgeçmiş bilgileri, Performans değerlendirme raporları v.b.)
- Hukuki işlem (Adli makamlarla yazışmalardaki bilgiler, Dava dosyasındaki bilgiler v.b.)
- Müşteri işlemi (Çağrı merkezi kayıtları, Fatura, senet, çek bilgileri, Gişe dekontlarındaki bilgiler, Sipariş bilgisi, Talep bilgisi v.b.)
- Fiziksel mekân güvenliği (Çalışan ve ziyaretçilerin giriş çıkış kayıt bilgileri, Kamera kayıtları v.b.)
- İşlem güvenliği (IP adresi bilgileri, İnternet sitesi giriş çıkış bilgileri, Şifre ve parola bilgileri v.b.)
- Risk yönetimi (Ticari, teknik, idari risklerin yönetilmesi için işlenen bilgiler v.b.)
- Finans (Bilanço bilgileri, Finansal performans bilgileri, Kredi ve risk bilgileri, Malvarlığı bilgileri v.b.)
- Mesleki deneyim (Diploma bilgileri, Gidilen kurslar, Meslek içi eğitim bilgileri, Sertifikalar, Transkript bilgileri v.b.)
- Pazarlama (Alışveriş geçmişi bilgileri, Anket, Çerez kayıtları, Kampanya çalışmasıyla elde edilen bilgiler v.b.)
- Görsel ve işitsel kayıtlar (Video ve ses kayıtları v.b.)
- Irk ve etnik köken (Irk ve etnik kökeni bilgileri v.b.)
- Siyasi düşünce bilgileri (Siyasi düşüncesini belirten bilgiler, Siyasi parti üyeliği bilgisi v.b.)
- Felsefi inanç, din, mezhep ve diğer inançlar (Diğer inançlarına ilişkin bilgiler, Dini aidiyetine ilişkin bilgiler, Felsefi inancına ilişkin bilgiler, Mezhep aidiyetine ilişkin bilgiler v.b.)
- Kılık ve kıyafet (Kılık kıyafete ilişkin bilgiler v.b.)
- Dernek üyeliği (Dernek üyeliği bilgileri v.b.)
- Vakıf üyeliği (Vakıf üyeliği bilgileri v.b.)
- Sendika üyeliği (Sendika üyeliği bilgileri v.b.)
- Sağlık bilgileri (Engellilik durumuna ait bilgiler, Kan grubu bilgisi, Kişisel sağlık bilgileri, Kullanılan cihaz ve protez bilgileri v.b.)
- Cinsel hayat (Cinsel hayata ilişkin bilgiler v.b.)
- Ceza mahkumiyeti ve güvenlik tedbirleri (Ceza mahkumiyetine ilişkin bilgiler, Güvenlik tedbirlerine ilişkin bilgiler v.b.)
- Biyometrik veri (Avuç içi bilgileri, Parmak izi bilgileri, Retina taraması bilgileri, Yüz tanıma bilgileri v.b.)
- Genetik veri (Genetik veriler v.b.)
Özel nitelikli kişisel veri nedir?
Özel nitelikli kişisel veri, kişisel verinin daha sıkı korunan bir alt kümesidir. Bunlar niteliği itibariyle daha sıkı korunmaya muhtaç olduğu gibi, veri güvenliğinin ihlali durumunda, ilgili kişi için daha ağır sonuçlar doğurabilen verilerdir.
Özel nitelikli kişisel verileri daha önce yazmıştım: https://mustafabaysal.com/ozel-nitelikli-kisisel-veri/
SONUÇ
Kişisel veri kavramını, bu zaman kadar sahip olduğunuz genel bilgilerle değerlendirirseniz yanılmanız mümkündür.
6698 sayılı Kişisel Verilerin Korunması Kanunu’nda yer alan kişisel veri kavramının; gerçek kişiye ait olma, kişiyi belirleme ya da belirlenebilir kılma ve her türlü bilgiyi içerebilme gibi üç temel özelliği vardır.
Önüne gelen bir verinin kişisel veri olup olmadığını merak eden bir kimse, bu veriyi yukarıda sayılan ve yazıda özel olarak açıkladığım bu üç şarta göre mizan etmeli ve ona göre karara varmalıdır.
“Kişisel veri nedir?” sorusunun cevabı olsa bile, “Kişisel veriler nelerdir?” sorusunun tahdiden sayılabilecek bir cevabının olmadığı ve her somut verinin kendi içinde değerlendirilmesi gerektiği her zaman hatırlanmalıdır.
